Як працює система моніторингу транзакцій

Система моніторингу транзакцій (TMS) відстежує депозити, висновки, перекази та пов'язані події, щоб вчасно виявляти AML-ризики, фінансовий фрод та операційні аномалії. В iGaming це ядро захисту грошей: на вході - дані платежів і поведінки, на виході - ранжовані алерти, кейси для розслідувань і регуляторні звіти.

1) Потоки даних: що саме ми збираємо

Платежі та виплати: 'authorized/captured/refunded/chargeback', суми, валюта, метод, банк/PSP, комісії.

Гаманець: `wallet. debit/credit', баланси, відміни, ідемпотентність ('txn _ id','Idempotency-Key').

KYC/AML-сигнали: вік/адреса, liveness, санкції/РЕР, adverse media, SoF/SoW (при EDD).

Поведінка: частота сесій, «гонитва», швидкість ставок, нічна активність.

Мережа та пристрій: device fingerprint, IP/ASN, проксі/VPN, гео-дрейф.

Зв'язки: загальні карти/гаманці/пристрої, реферальні графи.

Вебхуки провайдерів: підписані HMAC, з anti-replay ('timestamp', nonce).

💡 Всі події проходять через шину (Kafka/PubSub) і отримують наскрізні ключі: `trace_id`, `txn_id`, `player_ref`.

2) Архітектура TMS (рівні)

1. Інгест і нормалізація: приведення статусів PSP до загальної схеми, дедуплікація, валідація валют/сум.

2. Feature Store: онлайн/офлайн ознаки (velocity, гео-стабільність, chargeback-історія, граф-зв'язки).

3. Правила та моделі: детерміновані пороги + ML/аномалії + граф-детектори.

4. Скоринг та оркестрація рішень: єдиний ризик-скор, політика дій (пропустити/ліміт/hold/EDD/блок).

5. Алертінг і кейс-менеджмент: черги, пріоритезація, чеклісти, SLA.

6. Звітність та аудит: дашборди, STR/SAR, WORM-архів, експорт регулятору.

3) Правила першого рівня (швидкі детектори)

Velocity: N депозитів/висновків за X хвилин; сплески відмін/refund.

Гео/метод: невідповідність країни карти і IP; рідкісні PSP/гаманці.

Pass-through: великий депозит → мінімальна активність → швидке виведення.

Structuring: дроблення сум біля порога KYC/AML.

Поведінкові тригери: мультиаккаунт по пристрою/IP, нічні піки.

Кожне правило має вікно, поріг, тяжкість і дію (soft-limit, hold, ручне рев'ю).

4) Моделі другого рівня

Аномалії: Isolation Forest/автоенкодер для «нестандартного» патерну транзакцій.

Супервізія: градієнтний бустинг/логрег на розміченій історії (chargeback/підтверджений фрод).

Граф: link prediction/Node2Vec/GNN для синдикатів, загальних реквізитів, «мулів».

Калібрування cut-off: баланс TPR/FPR по цілях бізнесу, стабільність на сезонності.

5) Скоринг і прийняття рішень (decisioning)

Збираємо агрегований ризик-скор (0-1 або Low/Med/High).

Політики:

Low → пропустити/м'які ліміти;
Med → step-up KYC/EDD, затримка виведення;
High → hold/блок і негайне розслідування.
Комбінації сигналів (високий ML-скор + граф-прапор) дають пріоритет у черзі.

6) Кейс-менеджмент і розслідування

Автозбір контексту: платежі, KYC, IP/ASN, граф-зв'язку, історія chargeback.

Чеклісти: що запросити у клієнта (адреса/SoF), що звірити (koshelyok↔PSP), коли ескалувати.

Результат: cleared/обмеження/EDD/STR/SAR; всі дії логуються в WORM-архів.

SLA: час реакції і закриття по тяжкості кейса, алерти «коли горить».

7) STR/SAR і комплаєнс

Кейс з ознаками відмивання/фінансування тероризму → формується звіт STR/SAR (факти, суми, зв'язок учасників, таймлайн).

Терміни і формат - за юрисдикцією; tipping-off заборонений.

Матеріали зберігаються в незмінному сховищі, доступ - строго за ролями.

8) Безпека і приватність в TMS

Шифрування: TLS 1. 2+/1. 3 «в дорозі», AES-GCM «в зберіганні», ключі в KMS/HSM, ротації.

Псевдонімізація: 'player _ ref'замість PII; зв'язок з PII - окремо, з польовим шифруванням.

Доступ: RBAC/ABAC, JIT-права на чутливі кейси, аудит читання/експорту.

Вебхуки/зовнішні: HMAC-підпис, anti-replay, ідемпотентні ретраї.

9) Схема події (приклад'payment. captured`)

json
{
"event_id": "evt_9ab…",  "occurred_at": "2025-10-17T10:15:22. 512Z",  "trace_id": "trc_41c…",  "txn_id": "txn_dep_784…",  "player_ref": "plr_0f2…",  "method": "card",  "amount": 150. 00,  "currency": "EUR",  "psp": "acq_X",  "geo": {"ip":"203. 0. 113. 5","country":"DE","asn":"AS12345"},  "device": {"fp":"dfp_a18…","platform":"ios"},  "risk": {"velocity_5m":3,"asn_reputation":"medium"},  "integrity": {"signature":"base64:…"}
}

Аналогічні схеми - для'wallet. credit`, `payout. settled`, `kyc. verified`, `graph. linked`.

10) Метрики якості TMS

Precision/Recall, TPR/FPR за алертами та кейсами.

Alert-to-Case Ratio і TTR/MTTR розслідувань.

SAR rate і підтверджені регулятором випадки.

Chargeback/Fraud-loss% і ROI фільтрів.

Customer friction: середній час виведення,% «чистих» клієнтів підпали під перевірку.

Stability: latency скорингу, таймаути, доступність флоу.

11) Тюнінг і контроль дрейфу

Backtesting: прогони правил/моделей на історії, порівняння з еталоном.

Champion/Challenger: паралельні моделі в проді.

Дрейф даних: PSI/KS-тести, алерти при зміні міксу методів/гео.

Ретренінг: регулярні вікна + ручна розмітка «золота» командою комплаєнсу.

12) Експлуатація: спостережуваність і SLO

Дашборди: альберти/кейси на годину, p95 латентність скорингу, частка таймаутів, черга розслідувань, pass-through rate.

SLO: «скоринг ≤150 мс p95», «TTR High-case ≤ 24 год», «помилковий бюджет» на FPR.

Трасування end-to-end ('trace _ id') - швидкий drill-down від виплати до першопричини.

13) Типові помилки

Ставка тільки на правила або, навпаки, тільки на ML. Потрібна композиція.

Немає ідемпотентності грошей. Повтори webhook → дублі операцій і помилкові алерти.

Погана нормалізація статусів PSP. «Сірі» стани ламають згірку.

Відсутність граф-аналітики. Синдикати і «ферми» залишаються невидимими.

Немає зворотного зв'язку в моделі. Помилки не перетворюються на навчання - якість стагнує.

Змішування PII в подіях. Порушення мінімізації та зайві ризики GDPR.

14) Чеклист впровадження (збережіть)

Єдина шина подій, нормалізація статусів PSP
Наскрізні ключі: `trace_id`, `txn_id`, `player_ref`
Feature Store (онлайн/офлайн) і каталог ознак
Композиція: правила + аномалії + supervised + граф
Real-time скоринг ≤150 мс + fallback-рішення
Кейс-менеджмент: черги, чеклісти, SLA, WORM-архів
STR/SAR процес і шаблони звітів
Приватність/шифрування (TLS/KMS/HSM), RBAC/ABAC, JIT-доступ
Спостережуваність: дашборди, трасування, алерти
Backtesting, Champion/Challenger, моніторинг дрейфу
Автосверка koshelyok↔PSP, розслідування розбіжностей
Документація: політики, плейбуки саппорту, навчання аналітиків

15) Міні-FAQ

TMS = антифрод? Перекриваються, але цілі ширше: AML/регуляторика, STR/SAR, звітність.

Чи можна знизити FPR без втрати TPR? Так: граф-сигнали і каскад правил + ML, плюс тонке калібрування порогів.

Чому важливий real-time? Затримки = «погані» висновки і безповоротні втрати.

Чи потрібні зовнішні провайдери? Часто так (санкції/РЕР, KYC, поведінкові репутації ASN/пристроїв).

Як не «душити» чесних гравців? Ступінчасті заходи: м'які ліміти → step-up KYC → hold тільки при високому ризику.

Робоча система моніторингу транзакцій - це узгоджений конвеєр: нормалізовані події, єдині ознаки, каскад правил і моделей, граф-аналітика, швидкий скоринг і дисципліна розслідувань. Такий TMS одночасно знижує збитки, виконує вимоги регулятора і зберігає хороший UX «чистим» гравцям.